如何提前确定使用Airflow AWSAthenaOperator所需的IAM用户权限

• 方法1：使用AWS IAM Access Analyzer做权限模拟
  你可以先草拟基础权限策略，上传到IAM Access Analyzer的策略验证模块，系统会自动识别遗漏的权限项。你也可以开启访问预览功能，模拟对应IAM身份执行Athena提交查询、读取源数据、写入结果到S3的全流程操作，无需实际运行任务就能得到权限是否完整的校验结果。
• 方法2：直接梳理AWSAthenaOperator全流程所需权限，一次性配置
  这个Operator运行时会触发三类AWS服务操作，直接配置对应权限即可：

1. Athena服务操作权限：athena:StartQueryExecution（提交查询）、athena:GetQueryExecution（查询执行状态）、athena:GetQueryResults（拉取查询结果）
2. 源数据S3桶权限：你查询用到的Athena表对应的底层S3存储路径，需要分配s3:ListBucket、s3:GetObject权限
3. 输出路径S3桶权限：对应你参数中output_location指定的S3路径，需要分配s3:PutObject权限
   参考策略模板如下，替换对应占位符即可使用：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "athena:StartQueryExecution",
                "athena:GetQueryExecution",
                "athena:GetQueryResults"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "s3:ListBucket",
                "s3:GetObject"
            ],
            "Resource": [
                "arn:aws:s3:::<Athena源数据桶名称>",
                "arn:aws:s3:::<Athena源数据桶名称>/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "s3:PutObject",
            "Resource": "arn:aws:s3:::<查询结果输出桶名称>/*"
        }
    ]
}

• 方法3：临时全权限跑测拉取CloudTrail日志生成策略
  你可以先给对应IAM用户临时开通AdministratorAccess权限，完整运行一次Airflow任务后，到CloudTrail控制台筛选该用户的所有操作日志，提取所有用到的Action项，整理为最小权限策略即可。操作完成后请立即关闭临时的管理员权限，避免安全风险。

内容的提问来源于stack exchange，提问作者Yair Nevet